Усмерите подмрежу огранка кроз интернет излаз SonicWall-а у седишту

Телефони огранка треба да излазе кроз седиште, док лаптопи огранка настављају да користе локални WAN, а сама политика рутирања то неће обезбедити. Рута огранка може да изабере тунел, али политика тунела мора да прихвати саобраћај, седиште мора да га проследи и преведе, а одговор мора да се врати истим путем. Пропустите било шта од тога троје и симптом ће бити подскуп клијената који губе интернет тачно док је тунел активан.

Почните са селектором, а не са рутом

Политика рутирања подудара се по извору, па извор мора бити стабилан пре свега осталог. Ставите изабране уређаје у групу адреса коју одржава администратор или, боље, на посебан сегмент чије чланство прати улогу уређаја. Када уобичајена промена DHCP-а може да премести подударну адресу на други рачунар, политика тихо бира погрешног клијента, а први извештај је обично о спором прегледању које је заправо обилазак.

Именујте групу по политици којој служи, а не по спрату или одељењу, јер ће правило рутирања надживети обоје. Запишите који су уређаји у њој и ко сме да дода још један.

Додајте политику огранка, а затим браните њен редослед

На SonicWall-у огранка политика руте бира групу извора, именује предвиђена одредишта и поставља интерфејс тунела као гејтвеј, и баш за то постоји подржани дизајн интерфејса тунела. Држите правила за локална и приватна одредишта изнад широког интернет правила, јер прво поклапање побеђује, а приватни префикс гурнут у тунел стиже у седиште само да би био одбачен. Сачувајте и сопствену руту заштитног зида до његовог VPN партнера, иначе ће транспорт тунела следити политику од које зависи. Ништа од овога вас не приморава да конвертујете сваки постојећи тунел заснован на политици; интерфејс тунела је један подржани избор међу неколико.

Редослед је део који се мења случајно. Свако ко додаје изузетак мора да га уметне изнад широког правила, а свако ко уређује широко правило може да преокрене цео дизајн једним чувањем. Запишите предвиђени редослед поред политике и поново га проверите после ажурирања фирмвера, јер се именовање интерфејса и приказ политика заиста мењају између издања.

Завршите путању у седишту

Политика тунела у седишту мора да прихвати саобраћај који сада бира рута огранка. Међуканцеларијски селектор ограничен на приватни LAN седишта није дозвола за преношење произвољних јавних одредишта, зато политика захтева извор огранка и опсег одредишта који заиста имате на уму. Седиште затим прослеђује тај долазни саобраћај на свој интернет uplink према сопственим правилима приступа, а пример централног излаза SonicWall-а укључује превод извора за удаљену мрежу на централном WAN-у. Без тог превода удаљена страна види приватну адресу огранка и нема руту назад.

Одговори су друга половина уговора. Морају да се врате кроз тунел или кроз превод са стањем створен за њих, а саобраћај ка приватним локацијама може захтевати другачији NAT третман од јавног излаза. Држите та правила раздвојивим, јер једно широко правило превода које скрива сваки унутрашњи извор чини касније евидентирање и решавање проблема много тежим за читање.

Одлучите шта група ради када тунел падне

Ако је централни излаз захтев, а не преференција, враћање на локални WAN је кршење усаглашености чак и ако корисници остану онлајн. SonicOS документује руту са одбацивањем интерфејса тунела као подржани начин да се спречи да изабрани саобраћај крене нежељеним алтернативним путем.

Усагласите обим и приоритет те руте са инсталираним издањем и тестирајте је обарањем тунела уместо поверења у ознаку. Група која никада не сме локално да излази требало би да не успе затворено, док група у којој је доступност важнија може легитимно да се врати; обоје су одлуке и ниједна не треба да се догоди подразумевано.

Проверите са три клијента, затим се чисто вратите

Ping ка централном гејтвеју тестира погрешну ствар, јер потиче од заштитног зида, а не од изабраног клијента. Тестирајте са уређаја и тестирајте три од њих: изабрани уређај, обичан уређај који треба да остане локалан и један који зависи од локалних услуга.

ip -4 route get 203.0.113.10
curl -sS -m 5 -o /dev/null -w "%{http_code}\n" https://example.com
traceroute -n -m 6 203.0.113.10

Упоредите где се јавни захтев заиста појавио. Изабрани клијент треба да достигне интернет кроз излаз седишта, а обичан клијент треба и даље да приказује сопствену адресу огранка на удаљеној страни; 203.0.113.10 је документациона адреса која се користи као замена за одредиште које вам је важно. Укључите DNS у исти пролаз, јер клијент који пита резолвер огранка може да створи упит са пореклом од рутера са другим извором и зато другим путем.

Враћање је сачувани редослед политика плус група адреса. Вратите претходни редослед, уклоните групу из политике и поново тестирајте обе класе уређаја. Чувајте извезену конфигурацију уз запис о промени, јер следећи инжењер треба да зна које је правило било широко пре него што га је неко уредио.